-
Notifications
You must be signed in to change notification settings - Fork 0
MS_PMI
-
TOP > インフラストラクチャ > 認証基盤 > 証明書
- PMI（権限管理基盤）
- PKI（公開鍵暗号基盤）
- 証明書失効リスト (CRL)
- 証明書信頼リスト (CTL)
-
PMI : Privilege Management Infrastructure（権限管理基盤）
-
PKI（公開鍵暗号基盤） に対する、属性証明書 (AC) による属性認証の仕組み。
-
PKI と分離された経緯は、PKI と比べ PMI の方が、
更新と失効の頻度が高くなると予測されるタメ。 -
様々な電子商取引、電子申請においては、
存在認証のみでは不十分で、属性認証が重要になる。
補足: 「存在認証」「属性認証」を言い換えると次のとおり。
問い 対応する仕組み 存在認証（認証） あなたは誰か PKI、公開鍵証明書 属性認証（認可） あなたは何ができるか PMI、属性証明書 この区分は クレームベース認証 における 「認証」と「クレーム（属性）」の関係と同じ構図であり、 現代では SAML のアサーションや OpenID Connect の ID トークン／アクセス トークンが同じ役割を果たしている。
ユーザの権限を制御するためのインフラ。
- 個人の属性を属性証明書 (AC) として定義し、
- 属性認証の仕組みを構築する。
- PKI で言う認証局（CA）のようなもの。
- 属性証明書 (AC) の発行を行う。
cer, cet など。
- 属性認証機関 (AA) が発行
- 証明書に添付する主体者の属性を指定
補足: 属性証明書は X.509 の一部として RFC 5755 で定義されている。 公開鍵証明書と異なり、公開鍵を含まない。 「誰の」属性かは、公開鍵証明書の発行者名＋シリアル番号への参照 （Holder フィールド）で示す。
| たとえ | 内容 | |
|---|---|---|
| 公開鍵証明書 | パスポートのようなもの | 固定的な属性は、こちらにも入る |
| 属性証明書 (AC) | パスポートに添付する査証（ビザ） のようなもの | 変化しやすい権限・資格を表す |
補足: この比喩は本質を突いている。 パスポート（身元）は長期間有効だが、 ビザ（滞在資格）は短期で失効し、発行主体も別である。 権限を公開鍵証明書に埋め込むと、 権限が変わるたびに証明書を再発行することになるため、 分離されている。
証明書失効リスト (CRL) の 属性認証機関 (AA) 版。
補足: PMI／属性証明書は、 仕様としては存在するが広くは普及しなかった。 理由は PKI と同様の運用コストに加え、 Web の世界では
といった、より軽量な「属性・権限を伝える仕組み」が 先に普及したためである。
概念としての「認証と認可を分離し、 権限は短命な証明で伝える」という設計思想は、 現在の クレームベース認証 に受け継がれている。
Tags: セキュリティ, 暗号化, 証明書
このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。